McKesson bestätigt Hack, Hacker fordern 55-Mio.-Lösegeld

McKesson Corporation, einer der größten Gesundheits- und Pharmadistributoren der USA, teilte mit, einen Cybersicherheitsvorfall zu untersuchen, nachdem die Erpressergruppe ShinyHunters behauptet hatte, eine riesige Menge an Patientendaten gestohlen zu haben. Das Unternehmen meldete den Vorfall drei Tage nach dessen Entdeckung am 28. August 2026 in einer Einreichung bei der US-Börsenaufsicht SEC.

Sicherheitsforschern zufolge verschafften sich die Angreifer über eine Vishing-Kampagne Zugang: Sie gaben sich über die betrügerische Domain "mckesson[.]claims" als IT-Helpdesk von McKesson aus, um Mitarbeitende zur Preisgabe ihrer Zugangsdaten für das Okta-Single-Sign-on-System zu bewegen. Dieser Zugang soll der Gruppe ermöglicht haben, zwischen dem 21. und 25. August rund 1 Terabyte an Daten aus McKessons Salesforce- und Snowflake-Umgebungen abzuziehen.

ShinyHunters gibt an, insgesamt rund 284 Millionen Datenzeilen gestohlen zu haben — die Gruppe weist selbst darauf hin, dass dies eine Rohzahl an Einträgen und keine Zahl eindeutiger Patienten sei — darunter Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, Patienten- und Medicaid-IDs, Diagnosen, Medikamente, Allergien, Termindetails und Arztinformationen sowie Mitarbeiterdaten.

Die Gruppe forderte innerhalb von 72 Stunden 55.236.150 Dollar, um eine Veröffentlichung der Dateien zu verhindern — eine Frist, die McKesson verstreichen ließ. "McKesson befindet sich in einem frühen Stadium der Untersuchung eines Cybersicherheitsvorfalls im Zusammenhang mit Drittanwendungen sowie unbefugtem Zugriff und Datenabfluss", erklärte das Unternehmen und fügte hinzu, dass es seine Notfallprotokolle aktiviert und externe Cybersicherheitsexperten hinzugezogen habe. Ob der Vorfall finanziell wesentlich ist, habe man noch nicht festgestellt.

ShinyHunters wird mit einer Reihe großangelegter Angriffe in diesem Jahr in Verbindung gebracht, die auf Unternehmen abzielten, die Salesforce- und Snowflake-Cloud-Plattformen nutzen — darunter jüngste Attacken auf die Manchester Airports Group und den Bekleidungshändler Carhartt.